Nicht jeder wichtige Geschäftsprozess ist automatisch zeitkritisch. Für die Resilienz eines Unternehmens ist entscheidend, welche Prozesse bei einem Ausfall zuerst wieder funktionieren müssen – und wie lange eine Betriebsunterbrechung überhaupt tolerierbar ist. Eine Business Impact Analyse schafft dafür eine belastbare Entscheidungsgrundlage.
Bei Unternehmen, Organisationen und Kritischen Infrastrukturen liegt der Fokus häufig zunächst auf Anlagen: Energieversorgung, Rechenzentren, Produktion, Leitstellen, IT- und OT-Systeme oder andere technische Einrichtungen müssen funktionieren und geschützt werden.
Für Betreiber stellt sich die grundlegende Frage:
Welche Prozesse müssen wir tatsächlich aufrechterhalten – und wie schnell müssen sie nach einer Störung wieder funktionieren?
Genau hier setzt die Business Impact Analyse, BIA – an. Sie ist ein Instrument, um zeitkritische Geschäftsprozesse, mögliche Impacts zu identifizieren und die zeitlichen Ausfallkriterien zu erkennen: RPO / MTA, die maximal tolerierbare Ausfallzeiten und RTO (Recovery Time Objective), also die Zeit für eine tatsächliche Wiederherstellung. Das Ergebnis stellt fest, ob ein relevanter Ausfall innerhalb der tolerierbaren „Ausfall- bzw. Reparaturzeit“ wieder ans Laufen kommen kann.
Damit schafft sie eine wesentliche Grundlage für Business Continuity Management und betriebliche Resilienz.
Wichtig ist nicht automatisch zeitkritisch
Fast jeder Fachbereich wird auf die Frage nach seinen wichtigsten Prozessen gute Gründe nennen können, warum gerade diese unverzichtbar sind.
Für eine Business Impact Analyse reicht diese Einschätzung jedoch nicht aus.
Entscheidend ist die zeitliche Dimension eines Ausfalls. Ein Prozess ist dann zeitkritisch, wenn sein Ausfall innerhalb eines bestimmten Zeitraums zu Auswirkungen führt, die für die Organisation nicht mehr tolerierbar sind.
Damit kann ein für das Unternehmen ausgesprochen wichtiger Prozess kurzfristig durchaus ausfallen, ohne dass unmittelbar schwerwiegende Folgen entstehen. Ein anderer, im Normalbetrieb vielleicht weniger auffälliger Prozess kann dagegen schon nach wenigen Stunden zum Engpass werden.
Die zentrale Frage einer BIA lässt sich deshalb recht pragmatisch formulieren:
Ab wann tut der Ausfall wirklich weh?
Für KRITIS-Betreiber ist diese Unterscheidung besonders relevant. Denn für die Aufrechterhaltung einer kritischen Dienstleistung muss bekannt sein, welche betrieblichen Prozesse dafür erforderlich sind und wie lange deren Ausfall verkraftet werden kann.
Wie lange darf ein kritischer Geschäftsprozess ausfallen?
Ein Ausfall wird nicht allein dadurch kritisch, dass ein Prozess nicht mehr funktioniert. Entscheidend ist, wie sich seine Folgen im Zeitverlauf entwickeln.
Denkbare Auswirkungen reichen von finanziellen Schäden und vertraglichen Konsequenzen über Produktions- oder Versorgungsausfälle bis hin zu Reputationsschäden oder Beeinträchtigungen von Menschen und Umwelt.
Dabei kann sich das Schadensbild mit zunehmender Dauer erheblich verändern.
Eine Unterbrechung von 30 Minuten kann problemlos überbrückbar sein. Nach mehreren Stunden können ernsthafte Auswirkungen entstehen. Nach einem Tag können dieselben Auswirkungen möglicherweise nicht mehr tolerierbar sein.
Die BIA macht diesen zeitlichen Verlauf bewertbar. Daraus lassen sich unter anderem wichtige Parameter für Vorsorge und Wiederanlauf ableiten:
MTPD – Maximum Tolerable Period of Disruption: die maximal tolerierbare Dauer einer Unterbrechung, bevor die Auswirkungen ein nicht mehr akzeptables Niveau erreichen.
RTO – Recovery Time Objective: die Zielzeit, innerhalb der ein Prozess nach einer Unterbrechung wieder auf das erforderliche Niveau gebracht werden soll.
RPO – Recovery Point Objective: der maximal tolerierbare Datenverlust, ausgedrückt als Zeitraum.
Solche Kennzahlen sind kein Selbstzweck. Ihr Nutzen liegt darin, konkrete Entscheidungen vorzubereiten. Die BIA schafft die Grundlage für die entscheidende Frage:
Was muss wie schnell wieder funktionieren, damit aus einer Störung keine nicht mehr tolerierbare Beeinträchtigung wird?
Wenn beispielsweise feststeht, dass ein Prozess innerhalb eines bestimmten Zeitfensters wieder verfügbar sein muss, lassen sich daraus Anforderungen an Personal, Technik, Ersatzverfahren, Redundanzen oder externe Dienstleistungen ableiten.
Welche Folgen der Ausfall kritischer Funktionen haben kann und warum dabei insbesondere Abhängigkeiten und Kaskadeneffekte relevant werden, zeigt unser Beitrag „Warum die Kritikalität einer Infrastruktur oft erst im Ausfall sichtbar wird“.
BIA und Risikoanalyse beantworten unterschiedliche Fragen
Business Impact Analyse und Risikoanalyse werden häufig in einem Atemzug genannt. Methodisch beantworten sie jedoch unterschiedliche Fragen.
Die BIA betrachtet zunächst die Auswirkungen eines Ausfalls auf Prozessebene. Sie fragt beispielsweise:
- Welche Auswirkungen bzw. Schäden entstehen, wenn ein Prozess nicht verfügbar ist?
- Wie verändern sich diese Schäden mit zunehmender Ausfalldauer?
- Ab wann sind die Auswirkungen nicht mehr tolerierbar?
- Wann muss der Prozess spätestens wieder anlaufen?
Die Risikoanalyse setzt an einer weiterführenden Stelle an. Sie untersucht mögliche Gefährdungen und Ursachen eines Ausfalls und bewertet die daraus entstehenden Risiken und leitet wirksame Maßnahmen ab.
BIA theoretisch, weiterer Handlungsansatz braucht Konkretes
Was eine BIA nach Lehre nicht abdeckt, sind die sich aufdrängenden Fragestellungen: Was muss man tun, wenn Handlungsbedarf offengelegt wird? Welche Maßnahmen gilt es zu ergreifen?
Genau hier muss ein wirksamer Handlungsansatz weiterführen und eine BIA mit einer konkreten Risiko- und Gefährdungsanalyse verbinden, die dieses Loch stopft und die defizitären BIA-Prozesse detailliert betrachtet, analysiert, bewertet und wirksame Maßnahmen ausweist.
Vereinfacht gesagt:
BIA: Was passiert, wenn der Prozess ausfällt und wie lange ist das hinnehmbar?
Risikoanalyse: Reflektion von Ursachen und Gefährdungen und was dagegen getan werden kann?
Diese Unterscheidung ist wichtig. Denn erst wenn bekannt ist, welche Prozesse besonders zeitkritisch sind und welche Auswirkungen ihr Ausfall hätte, können Risiken und Schutzmaßnahmen entsprechend festgelegt und priorisiert werden.
Die BIA schafft die Grundlage – nicht die fertige Lösung
Eine Business Impact Analyse beantwortet nicht alle Fragen der betrieblichen Resilienz. Sie schafft jedoch Transparenz darüber, welche Prozesse tatsächlich zeitkritisch sind, welche Auswirkungen ihr Ausfall hätte und innerhalb welcher Zeit sie wieder verfügbar sein müssen.
Damit liefert sie die Grundlage für den nächsten Schritt: Risiken und Gefährdungen für diese Prozesse gezielt zu untersuchen und geeignete Maßnahmen für Vorsorge, Notbetrieb und Wiederherstellung abzuleiten.
Gerade für KRITIS-Betreiber ist diese Verbindung entscheidend. Nicht die möglichst umfangreiche Analyse ist das Ziel, sondern die Fähigkeit, kritische Leistungen auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten oder rechtzeitig wiederherzustellen.
Die entscheidende Frage bleibt deshalb:
Was muss wie schnell wieder funktionieren – und was müssen wir tun, damit das gelingt?
Das nimmt die neue fachliche Zuspitzung auf und endet handlungsorientiert. Diese Aufgabe ist Bestandteil eines wirksamen Business Continuity Managements.
